Sairaalat ovat uudenlaisten kyberhyökkäysten kohteena

Jo varhaisimmista kyberrikoksista lähtien terveydenhuollon data on ollut tärkeä kohde. Viime aikoihin asti useimmat sairaaloita kohdanneet kyberhyökkäykset seurasivat tuttua kaavaa: luottamusryhmät kryptasivat potilastietoja ja vaativat maksua. Motiivi oli selvä – ja se liittyi rahaan.

mutta kyberTurvallisuuden asiantuntijat varoittavat nyt muutoksesta. Kasvava määrä terveydenhuoltojärjestelmien hyökkäyksiä näyttää olevan poliittisesti motivoituneita eikä taloudellisesti. Nämä tapaukset, usein johdettavissa valtioiden tukemista ryhmistä, pyrkivät häiritsemään sairaaloiden toimintaa, varastamaan arkaluontoisia terveydenhuollon tietoja ja horjuttamaan yleistä luottamusta. Yhdistyneet Kansakunnat on nimittänyt kyberhyökkäykset terveydenhuoltoon ”suoraksi ja järjestelmälliseksi riskiksi maailmanlaajuiselle terveydenhuollolle ja turvallisuudelle.”

Tämä kehitys tapahtuu haavoittuvana aikana, jolloin terveydenhuoltoon liittyvä luottamus on edelleen hauras. Kyberhyökkäykset syventävät tätä luottamuksen puutetta, rasittavat kriittistä infrastruktuuria ja sekoittavat rikollisen toiminnan ja geopolitiikan välisen rajan. Terveydenhuollon turvallisuuden ja tiedonjaon risteyksessä työskentelevänä uskon, että tämä ei ole enää pelkästään rikosongelma – se on uhka kansallisen turvallisuuden kannalta.

Attribuution haaste

Kun terveydenhuoltosektorin kohdistamiin kyberhyökkäyksiin liittyvät motiivit muuttuvat, myös niiden taustalla olevien toimijoiden tunnistamisen monimutkaisuus muuttuu.

Toisin kuin perinteisten luottamusryhmien selvät taloudelliset motiivit, valtioiden tukemien kampanjoiden taustalla olevat toimijat ovat usein piilossa monimutkaisten välittäjien, hakkeri-etiikkaryhmien tai epämääräisesti kytkettyjen rikollisten verkostojen takana. Mikä aluksi näyttää tavalliselta luottamusryhmän hyökkäykseltä, paljastuu lähemmassa tutkimuksessa osoittavan merkkejä koordinoitusta strategiasta: kohdistamalla kriittistä terveydenhuollon infrastruktuuria, maksimoimalla toiminnan häiriöt ja välttämällä suoran attribuution mihinkään valtioon.

Tämä malli on jo näkynyt useissa julkisuuteen tulleissa tapauksissa. COVID-19-pandemian aikana useat eurooppalaiset terveydenhuollon laitokset kärsivät kyberhyökkäyksistä, joita viranomaiset myöhemmin epäilivät liittyvän ulkomaisiin tiedustelutoimiin. Vaikka hyökkäykset aluksi muistuttivat rikollisia luottamusryhmien kampanjoita, syvemmät analyysit osoittivat laajempia tavoitteita – kuten rokotetutkimuksen varastamista, hoitoa häiritsemistä julkisen terveydenhuollon kriisitilanteessa tai terveydenhuoltojärjestelmän luottamuksen horjuttamista.

Tämä tarkoituksellinen epäselvyys palvelee hyökkääjiä hyvin. Maskeraamalla strategisen sabotaasin rikolliseksi toiminnaksi, he välttävät suoria poliittisia seuraamuksia samalla kun aiheuttavat vakavia vahinkoja potilashoitoa tarjoaville laitoksille. Puolustajille tämä epäselvyys monimutkaistaa vastausta jokaisella tasolla: teknisellä, operatiivisella ja diplomaattisella.

Terveydenhuoltoalalla potilasturvallisuus on välittömässä vaarassa kyberuhkan aikana, eikä ole paljon aikaa tai kapasiteettia perusteellisille forensisille analyyseille. Ilman selkeää ymmärrystä hyökkäyksen luonteesta ja tarkoituksesta, sairaalat ja terveydenhuollon tarjoajat saattavat yliarvioida uhkaa, missata laajempia malleja ja epäonnistua koordinoituun puolustusstrategian toteuttamisessa.

Tiedonjaon merkitys

Puolustuksen rakentamisen avain on kollektiivinen toiminta, joka riippuu vapaasta tietojen vaihdosta. Kriittisten infrastruktuurien organisaatiot muodostavat yhteistyössä Tiedonjaon ja Analyysikeskuksia, eli ISACeja. Health-ISAC kokoaa yhteen yli 14 000 ihmistä voittoa tavoittelemattoman alan järjestön kautta, jonka tarkoituksena on helpottaa luotettavaa tietoturva-uhkatiedon vaihtoa, mahdollistaen nopeammat ja koordinoitummat vastaukset uusiin riskeihin. Health-ISAC yhdistää sairaalat, lääketehtaat, vakuutusyhtiöt ja muut sidosryhmät, luoden ekosysteemin, jossa tieto virtaa vapaammin ja varhaisvaroitukset voidaan vahvistaa koko maailmanlaajuisessa terveydenhuoltoyhteisössä.

Jakamalla kompromissin osoittimia, hyökkäystekniikoita, epäilyttäviä käyttäytymisiä ja oppimia, organisaatiot voivat muuttaa eristetyt havainnot koko alaa koskevaksi tiedoksi. Yksittäisessä sairaalassa havaittu malware-signaatti voi olla se varoitus, joka estää aallon hyökkäyksiä ympäri maailmaa huomenna. Tällä tavoin tiedonjako muuttaa puolustuksen sarjasta erillisiä taisteluja koordinoituneksi, proaktiiviseksi ponnistukseksi.

Kuitenkin tällaisen yhteistyön rakentaminen ja ylläpitäminen ei ole ilman haasteitaan. Tehokas jakaminen riippuu luottamuksesta: luottamuksesta, että arkaluontoista tietoa käsitellään vastuullisesti, ja luottamuksesta, että osallistujat sitoutuvat keskinäiseen puolustukseen. Terveydenhuoltoalan organisaatioiden on oltava valmiit ilmoittamaan tapahtumista avoimesti. Tämän avoimuuden kulttuurin edistäminen on yksi alan suurimmista haasteista, mutta myös yksi voimakkaimmista mahdollisuuksista vahvistaa alaa kasvavan monimutkaisuuden edessä.

Resilienssin rakentaminen

Vaikka vahvat tietoturvaohjaukset ovat edelleen olennaisia, todellisuus on, että kaikkien hyökkäysten estäminen on mahdotonta. Siksi terveydenhuoltoalan laitosten on panostettava resilienssiin: kykyyn ylläpitää tai nopeasti palauttaa kriittisiä palveluita hyökkäyksien aikana.

Se alkaa valmistautumisella. Organisaatioiden on kehitettävä ja säännöllisesti harjoiteltava yksityiskohtaisia vastausstrategioita, jotka on räätälöity heidän työprosesseihinsa, tiloihinsa ja potilashoitoon liittyviin vaatimuksiin. Nämä harjoitukset auttavat henkilöstöä tiedostamaan, mitä tehdä, kun järjestelmät menevät pois käytöstä, ja varmistavat, että päätöksenteko ei viivästy oleellisesti epätietoisuuden vuoksi kriisin aikana.

Segmentoidut verkkorakenteet ovat toinen kriittinen puolustus. Eroottamalla järjestelmiä – kuten erottamalla lääkinnällisiä laitteita hallintotyökaluista tai rajoittamalla laboratoriotuokioita omiin segmentteihinsa – organisaatiot voivat estää malwarea levittäytymästä ja aiheuttamasta laajaa häiriötä. Tämä kompartementaatio rajoittaa vahinkoa ja antaa arvokasta aikaa vastausryhmille.

Yhtä tärkeää on varmuuskopio- ja palautusjärjestelmien vahvuus ja saatavuus. Varmuuskopiot on säilytettävä turvallisesti, testattava säännöllisesti ja ylläpidettävä offline- tai muuttumattomissa formaateissa estämään niiden manipulointi hyökkäyksen aikana. Mitä nopeammin organisaatio voi palauttaa potilastietoja, aikatauluja, viestintäjärjestelmiä, sitä nopeammin se voi palata turvalliseen ja tehokkaaseen hoitoon.

Lopputajat

Liian usein kyberhyökkäykset osoittavat, että resilienssi on kohtelu jälkikäteen. Mutta terveydenhuoltoalalla – jossa ihmiset ovat vaarassa – se on perustavanlaatuinen prioriteetti. Suunnittelu, harjoittelu ja koordinointi eivät ole enää vapaaehtoisia. Ne ovat eturintamapuolustuksia kyber sodassa, jota sairaalat eivät voi enää jättää huomiotta.

Mitä nyt tarvitaan, on muutos asenteessa. Terveydenhuollon johtajien on katsottava tietoturvaasia ei pelkästään IT-ongelmana, vaan myös potilasturvallisuuden ja laitoksen luottamuksen perusosana. Se tarkoittaa resurssien kohdentamista, koko henkilöstön osallistamista ja yhteistyön tekemistä organisaatioiden rajojen yli.

Yksikin sairaala ei voi seistä yksin voimia, jotka muokkaavat uhka-aihetta. Mutta yhdessä – jaettujen tietojen, koordinoitujen vastausten ja uudelleen keskittyneen resilienssin kautta – terveydenhuoltoala voi vastustaa tätä nousevaa aaltoa ja suojella kriittisiä järjestelmiä, joista miljoonat riippuvat joka päivä.